2025年8月企业必修安全漏洞清单

所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。

腾讯云安全参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。

腾讯云安全定期发布安全漏洞必修清单，以此指引企业安全运维人员修复漏洞，从而避免重大损失。 以下是2025年8月份必修安全漏洞清单：

一、Cursor远程代码执行漏洞（CVE-2025-54135）

二、1Panel远程命令注入漏洞（CVE-2025-54424）

三、Stirling-PDF 服务端请求伪造漏洞（CVE-2025-55150）

四、DataEase JNDI注入漏洞（CVE-2025-57773）

五、FlowiseAI Flowise 远程代码执行漏洞（CVE-2025-8943）

六、HTTP/2 MadeYouReset 拒绝服务漏洞（CVE-2025-8671）

七、Microsoft Windows 文件资源管理器欺骗漏洞（CVE-2025-50154）

八、CrushFTP AS2 身份认证绕过漏洞（CVE-2025-54309）

九、Docker Desktop Engine API 未授权访问漏洞（CVE-2025-9074）

十、Cherry Studio 命令注入漏洞（CVE-2025-54074）

漏洞介绍及修复建议详见后文

一、 Cursor远程代码执行漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Cursor的风险公告，漏洞编号：TVD-2025-25245(CVE编号：CVE-2025-54135，CNNVD编号：CNNVD-202508-284)。成功利用此漏洞的攻击者，可通过特制的输入绕过安全限制，在受影响的系统上执行任意操作系统命令。

Cursor是一款基于Visual Studio Code的现代化代码编辑器，由Cursor团队开发，专为AI辅助编程设计。它深度集成了GPT-4等大型语言模型，提供智能代码补全、错误检测和自动重构功能。支持50+种编程语言，具有实时协作和云端同步能力，被全球数百万开发者使用。其扩展市场包含上千个插件，可满足各种开发需求。

据官方描述，在Cursor AI代码编辑器中，由于未限制敏感文件的创建权限，导致攻击者可通过间接提示注入在用户工作区静默创建恶意 MCP 配置文件（如.cursor/mcp.json），从而绕过审批机制。并且当在该文件中定义恶意MCP服务器配置时，由于Cursor Agent以开发者权限运行且自动执行新配置，从而可触发无感远程任意代码的执行。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

Cursor < 1.3

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://cursor.com/en/home

2.临时缓解方案：

- 关闭Cursor的Auto-Run Mode设置

- 仅连接可信的MCP服务器

二、 1Panel远程命令注入漏洞

图片

漏洞概述

腾讯云安全近期监测到关于1Panel的风险公告，漏洞编号：TVD-2025-25075(CVE编号：CVE-2025-54424，CNNVD编号：CNNVD-202508-111)。成功利用此漏洞的攻击者，可绕过证书验证机制，最终在受影响的系统上执行任意命令。

1Panel是由1Panel团队开发的开源服务器管理面板，采用Go语言编写。它集成了Docker、Kubernetes、MySQL、PostgreSQL等主流服务的管理功能，支持一键部署应用、SSL证书管理和性能监控。作为轻量级替代方案，它比传统面板如cPanel/Plesk更高效，特别适合云服务器环境，全球超过50万服务器使用。

据描述，该漏洞源于1PanelAgent端 TLS认证策略为tls.RequireAnyClientCert，仅要求提供证书但不验证其可信性，攻击者可通过自签名证书绕过TLS校验，并伪造CN字段为panel_client绕过应用层校验进行未授权命令执行接口调用，最终远程执行任意命令。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

1Panel < 2.0.6

图片

修复建议

1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://github.com/1Panel-dev/1Panel/releases

2. 临时缓解方案：

- 限制管理面板的访问，只允许来自可信IP地址的连接

三、 Stirling-PDF 服务端请求伪造漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Stirling-PDF的风险公告，漏洞编号：TVD-2025-25908(CVE编号：CVE-2025-55150，CNNVD编号：CNNVD-202508-971)。成功利用此漏洞的攻击者，可通过构造特定的HTTP请求实现服务器端请求伪造，访问内部网络资源。

Stirling-PDF 是一款功能全面、基于 Docker 并支持本地托管的开源 PDF 处理工具，它提供了超过 50 种 PDF 操作功能，包括页面编辑、格式转换、安全管理以及 OCR 文字识别等，所有处理均在用户本地环境完成，确保了数据的绝对隐私和安全。其开源特性允许开发者自由定制和扩展，而多语言支持和企业级功能使其既能满足个人用户的日常文档处理需求，也适用于中小企业、开发团队及对数据安全有严格要求的组织场景。

据描述，该漏洞源于Stirling-PDF的HTML转PDF功能中的清理器存在代码缺陷，攻击者可以通过发送特制的请求绕过安全过滤机制，利用该漏洞进行远程服务器请求伪造、内网资源访问等操作。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

Stirling-PDF < 1.1.0

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://github.com/Stirling-Tools/Stirling-PDF/releases

2.临时缓解方案：

- 限制PDF转换服务的网络访问权限

- 如无必要，避免开放至公网

四、 DataEase JNDI注入漏洞

图片

漏洞概述

腾讯云安全近期监测到关于DataEase的风险公告，漏洞编号：TVD-2025-27483(CVE编号：CVE-2025-57773，CNNVD编号：CNNVD-202508-2933)。成功利用此漏洞的攻击者，可通过反序列化攻击在受影响的系统上写入任意文件，可能导致代码执行。

DataEase 是一款开源数据可视化分析工具，它致力于帮助用户快速连接并整合多种数据源，通过直观的拖拉拽操作方式制作丰富多样的图表，从而高效分析数据、洞察业务趋势，辅助业务决策与优化。其开源特性和强大的功能（如集成Apache Doris实现超大数据量下的秒级响应、提供丰富的业务模板市场以及支持PC、移动和大屏等多种展示终端），使得无论是数据分析师、业务人员还是开发者都能低门槛上手，实现高效的数据可视化分析与协作分享。

据描述，该漏洞源于DataEase中DB2参数过滤不足，攻击者可以通过发送特制的JNDI请求触发反序列化，最终通过AspectJWeaver组件在系统上写入任意文件，可能导致代码执行。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

DataEase < 2.10.12

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://github.com/dataease/dataease/releases

2.临时缓解方案：

- 如无必要，避免开放至公网

- 利用安全组设置仅对可信地址开放

五、 FlowiseAI Flowise 远程代码执行漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Flowise的风险公告，漏洞编号：TVD-2025-26486(CVE编号：CVE-2025-8943，CNNVD编号：CNNVD-202508-1511)。成功利用此漏洞的攻击者，可在未经身份验证的情况下执行操作系统命令，实现远程代码执行。

Flowise 是一款开源的低代码/无代码可视化工具，它基于 LangChain.js 构建，允许用户通过简单的拖放组件方式快速构建和部署自定义的大型语言模型应用程序，如聊天机器人、智能客服、文档问答系统等。其核心优势在于大幅降低了AI应用开发的门槛，即使非技术用户也能通过直观的界面设计复杂的工作流，无需编写代码。Flowise 提供了丰富的预置组件库，支持集成多种主流LLM、向量数据库，以及外部API工具，并具备实时测试、版本控制和多部署选项（如Docker、云平台）等功能。

据描述，该漏洞源于Flowise的自定义MCP功能设计缺陷，该功能允许执行操作系统命令来启动本地MCP服务器。由于Flowise3.0.1之前的版本默认安装不启用身份验证，且缺乏基于角色的访问控制，未经身份验证的网络攻击者可以利用该漏洞执行未沙箱化的操作系统命令。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

Flowise < 3.0.1

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://github.com/FlowiseAI/Flowise/releases

2.临时缓解方案：

- 如无必要，避免开放至公网

- 配置防火墙或网络规则，仅允许特定IP地址或IP段访问

六、 HTTP/2 MadeYouReset 拒绝服务漏洞

图片

漏洞概述

腾讯云安全近期监测到关于HTTP/2的风险公告，漏洞编号：TVD-2025-26283(CVE编号：CVE-2025-8671，CNNVD编号：CNNVD-202508-1338)。成功利用此漏洞的攻击者，可通过触发服务器端流重置导致资源耗尽，最终实现拒绝服务攻击。

HTTP/2是互联网工程任务组（IETF）在2015年标准化的协议（RFC 7540），作为HTTP/1.1的替代方案，它被Nginx、Apache、Cloudflare等主流Web服务广泛采用，全球约75%的网站支持HTTP/2。该协议通过二进制分帧、头部压缩（HPACK算法）和服务器推送等核心特性，显著提升了Web性能，解决了HTTP/1.1的队头阻塞和低效问题。HTTP/2的多路复用（Multiplexing）特性允许在单个TCP连接上并行传输多个请求和响应，避免了传统浏览器为突破连接限制而创建多个TCP连接的开销，从而降低了延迟并提高了连接利用率。

据描述，该漏洞是由于HTTP/2 协议规范与服务器实现之间的不匹配导致的，当攻击者发送恶意 RST_STREAM 控制帧重置数据流时，协议层会立即释放流资源并停止计数，但服务器后台仍继续处理这些 "已终止" 的请求，这种状态同步失效导致单个连接即可突破 SETTINGS_MAX_CONCURRENT_STREAMS 限制，从而导致服务器资源被大量 "僵尸请求" 耗尽，最终引发服务瘫痪。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

使用HTTP/2协议的组件

图片

修复建议

请评估业务是否受 HTTP/2 协议影响后，酌情升级 Apache Tomcat、Netty、H2O、Varnish Cache 等使用 HTTP/2 协议的组件至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

七、 Microsoft Windows 文件资源管理器欺骗漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Windows文件资源管理器的风险公告，漏洞编号：TVD-2025-26165(CVE编号：CVE-2025-50154，CNNVD编号：CNNVD-202508-1163)。成功利用此漏洞的攻击者，可在未经授权的情况下访问敏感信息，实现网络欺骗攻击。

Windows是由Microsoft开发的一系列图形用户界面操作系统，它从基于MS-DOS的图形环境起步，逐步发展成为全球个人计算机领域应用最广泛的操作系统。Windows以其直观的图形用户界面、强大的多任务处理能力、广泛的硬件兼容性和丰富的软件生态系统而著称，广泛应用于个人电脑、服务器、嵌入式设备等多种平台。Windows文件资源管理器(explorer.exe)是Windows Shell的核心组件，自Windows 95以来一直是系统默认文件管理器。它集成了搜索、预览、共享和云存储功能，支持多种文件格式和插件扩展。

据描述，该漏洞源于Windows文件资源管理器存在代码缺陷，攻击者可通过构造特殊恶意对象（如恶意的快捷方式）在无任何用户交互的情况下，诱使文件资源管理器自动发起NTLM身份验证请求，从而窃取用户的NTLMv2哈希凭证。获取NTLM哈希后，攻击者可实施离线暴力破解或发起中继攻击，进一步利用这些凭证获取系统未授权访问权限。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 22H2 for 32-bit Systems

Windows 10 Version 22H2 for ARM64-based Systems

Windows 10 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for x64-based Systems

Windows 11 Version 22H2 for ARM64-based Systems

Windows 11 Version 23H2 for x64-based Systems

Windows 11 Version 23H2 for ARM64-based Systems

Windows 11 Version 24H2 for x64-based Systems

Windows 11 Version 24H2 for ARM64-based Systems

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows Server 2022 (Server Core installation)

Windows Server 2022

Windows Server 2022, 23H2 Edition (Server Core installation)

Windows Server 2025

Windows Server 2025 (Server Core installation)

图片

修复建议

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-50154

八、 CrushFTP AS2 身份认证绕过漏洞

图片

漏洞概述

腾讯云安全近期监测到关于CrushFTP文件传输服务器的风险公告，漏洞编号：TVD-2025-23557(CVE编号：CVE-2025-54309，CNNVD编号：CNNVD-202507-2381)。成功利用此漏洞的攻击者，可在未经身份验证的情况下获取管理员访问权限，完全控制FTP服务器。

CrushFTP是一款由CrushFTP LLC开发的企业级跨平台文件传输服务器软件，它支持包括FTP、FTPS、SFTP、HTTP、HTTPS及WebDAV在内的多种协议，并通过SSL/TLS加密、用户认证与目录权限控制等安全特性保障数据传输的安全可靠。其名称“Crush”源于内置的流式ZIP压缩与解压缩技术，可显著提升大文件传输效率，同时提供基于Web的直观管理界面，支持远程监控、实时日志审计和自动化任务调度，适用于企业、教育机构及个人用户的安全文件共享与协作场景。

据描述，在所有平台的CrushFTP中，当系统未启用 DMZ 代理功能时，由于对AS2协议（企业级文件传输协议）的验证处理不当，导致未经身份验证的远程攻击者可通过构造恶意请求直接获取管理员权限。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

10.0.0 <= CrushFTP < 10.8.5

11.0.0 <= CrushFTP < 11.3.4_23

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://www.crushftp.com/download/

2.临时缓解方案：

- 配置防火墙或网络规则，仅允许特定IP地址或IP段访问

- 如无必要，避免开放至公网

九、 Docker Desktop Engine API 未授权访问漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Docker Desktop的风险公告，漏洞编号：TVD-2025-27405(CVE编号：CVE-2025-9074，CNNVD编号：CNNVD-202508-2370)。成功利用此漏洞的攻击者，可从容器内部访问Docker Engine API，可能导致主机系统被完全控制。

Docker Desktop是Docker官方为开发者在 Windows 和 macOS 系统上提供的桌面应用程序，它集成了 Docker Engine、Docker CLI、Docker Compose 等核心工具与直观的图形界面（GUI），旨在简化容器化应用的开发、测试和部署流程。其支持跨平台运行（Windows 依赖 WSL 2 或 Hyper-V，macOS 原生支持），并提供资源管理、镜像拉取构建、多容器编排、本地 Kubernetes 集成及安全扫描等功能，显著降低了容器技术的使用门槛，确保了开发环境的一致性。

据描述，该漏洞源于Docker Desktop默认配置中未正确隔离容器网络，允许容器内访问Docker Engine API(192.168.65.7:2375)。攻击者可以利用此漏洞执行特权操作，包括控制其他容器、创建新容器、管理镜像，在某些配置下甚至能挂载主机文件系统逃逸容器访问宿主机上的资源等。

注：该漏洞只影响 Windows/Mac 上的 Docker Desktop，Linux 上的 Docker Desktop 不易受该漏洞影响。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

Docker Desktop < 4.44.3

图片

修复建议

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://docs.docker.com/desktop/release-notes/

十、 Cherry Studio 命令注入漏洞

图片

漏洞概述

腾讯云安全近期监测到关于Cherry Studio的风险公告，漏洞编号：TVD-2025-26294(CVE编号：CVE-2025-54074，CNNVD编号：CNNVD-202508-1375)。成功利用此漏洞的攻击者，可通过恶意MCP服务器在客户端执行任意命令，完全控制系统。

Cherry Studio 是一款开源的跨平台 AI 助手客户端，支持 Windows、macOS 和 Linux 系统，集成了多模型对话、知识库管理、AI 绘画、翻译等全方位功能。它聚合了 OpenAI、Gemini、Anthropic 及硅基流动等主流云服务与本地模型（如 Ollama），允许用户灵活切换和并行调用不同模型，并内置 300 多个预配置 AI 助手覆盖写作、编程、设计等场景，同时支持自定义助手创建和知识库构建，所有数据处理均在本地完成以保障数据隐私与安全。

据描述，该漏洞源于应用程序在HTTP Streamable模式下与MCP服务器交互时存在的代码缺陷，未能对服务器提供的OAuth元数据进行充分的安全验证和过滤，攻击者可搭建恶意MCP服务器并诱导受害者建立连接，最终实现操作系统命令注入。

图片

漏洞状态：

图片

风险等级：

图片

影响版本

1.2.5 <= Cherry Studio < 1.5.2

图片

修复建议

1.官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本。

【备注】：建议您在升级前做好数据备份工作，避免出现意外。

https://github.com/CherryHQ/cherry-studio/releases/

2.临时缓解方案：

- 仅连接可信的MCP服务器

- 禁用HTTP Streamable模式

*以上漏洞评分为腾讯云安全研究人员根据漏洞情况作出，仅供参考，具体漏洞细节请以原厂商或是相关漏洞平台公示为准。

图片

END

更多精彩内容点击下方扫码关注哦~

关注云鼎实验室，获取更多安全情报

图片